Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
PHP2Shell: Angriffe begannen vier Tage vor dem Patch, jetzt aktualisieren
Die Lücken CVE-2026-109618 und CVE-2026-109619 in PHP wurden schon vor dem Notfall-Update vom 21. Oktober angegriffen. Amazon hat in seinen Honeypots die ersten Versuche am Samstag, dem 17. Oktober, beobachtet, vier Tage vor dem Patch. Kurz nach der Veröffentlichung setzten Angreifer mehrere Proof-of-Concept-Exploits ein. Das BSI hatte empfohlen, verwundbare Websites bis zum Update vom Netz zu nehmen. In Deutschland gingen laut heise unter anderem die Seiten der Charité und Teile von berlin.de offline. Die PHP Foundation räumt ein, dass erste Anzeichen der Speicherlücke schon bei einem externen Sicherheitsaudit 2024 auftauchten. Damals fand man keinen konkreten Angriffsweg, die Korrektur blieb liegen. Behoben sind die Lücken in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, die Linux-Distributionen liefern inzwischen Pakete aus.
- Priorität: Sofort handeln (Angriffe seit 17. Oktober)
- Datum: 22.10.2026
- CVE: CVE-2026-109618, CVE-2026-109619
- Für wen relevant: Alle Unternehmen mit Website, Shop oder Webanwendung auf PHP. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Wer noch nicht aktualisiert hat, tut es jetzt oder fragt beim Hoster nach. Amazon rät, nach Spuren eines Einbruchs ab dem 17. Oktober zu suchen, nicht erst ab dem Patch: unbekannte PHP-Dateien, neue Administratorkonten, ungewöhnliche Prozesse.
- Quelle: Amazon · PHP Foundation · heise online
GitLab: Lücke mit Höchstwertung betrifft alle Versionen seit 2014, auch nach dem Update vom 12. Oktober
GitLab hat am 21. Oktober erneut außerplanmäßig Updates veröffentlicht: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13. Sie schließen CVE-2026-110264 mit CVSS 10.0. Über einen Überlauf beim Kompilieren eines präparierten regulären Ausdrucks kann ein nicht angemeldeter Angreifer unter bestimmten Bedingungen Code auf dem Server ausführen. Betroffen sind laut The Hacker News alle Versionen ab 7.0 aus dem Jahr 2014. Wer nach dem Update vom 12. Oktober auf 19.4.2, 19.3.4 oder 19.2.8 steht, ist erneut verwundbar. Angriffe sind GitLab nicht bekannt.
- Priorität: Hoch (CVSS 10.0, keine Angriffe bekannt)
- Datum: 21.10.2026
- CVE: CVE-2026-110264
- Für wen relevant: Unternehmen und Entwicklerteams mit selbst betriebenem GitLab. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Auf die passende neue Version aktualisieren. GitLab.com ist bereits geschützt, Kunden von GitLab Dedicated ab den internen Versionen 19.3.5 und 19.4.2 ebenfalls.
- Quelle: GitLab · The Hacker News
Host Europe und DomainFactory: GoDaddy widerruft rund 400.000 TLS-Zertifikate
GoDaddy widerruft gut 400.000 TLS-Zertifikate seiner Zertifizierungsstelle Starfield, darunter Zertifikate von Kunden der deutschen Hoster Host Europe und DomainFactory, die zu GoDaddy gehören. Technisch sind die Zertifikate in Ordnung, die zugehörige Dokumentation der Zertifizierungsstelle enthielt aber falsche Angaben. Nach den Regeln der Browserhersteller müssen solche Zertifikate innerhalb von fünf Tagen widerrufen werden. Die Frist lief am 18. Oktober ab, GoDaddy hatte bis dahin weniger als die Hälfte widerrufen. Laut GoDaddy wurden für betroffene Kunden von Host Europe und DomainFactory neue Zertifikate ausgestellt und, wo möglich, automatisch eingebaut. Wo das nicht ging, hatten Kunden bis zum 21. Oktober, 21 Uhr, Zeit, sie selbst zu ersetzen.
- Priorität: Hoch (Widerruf läuft)
- Datum: 22.10.2026
- Für wen relevant: Unternehmen, deren Website, Shop oder Mailserver ein Zertifikat von GoDaddy, Host Europe oder DomainFactory nutzt, vor allem wenn der Hoster es nicht automatisch einbaut. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Im Browser nachsehen, welches Zertifikat die eigene Website zeigt. Stammt es von Starfield und wurde es nicht ersetzt, kann das widerrufene Zertifikat je nach Browser und Programm zu Fehlermeldungen führen. Mails des Hosters zum Zertifikatstausch nicht liegen lassen.
- Quelle: heise online · Mozilla Bugzilla
Node.js: Updates schließen Lücke im Brotli-Decoder in allen unterstützten Versionen
Node.js hat am 21. Oktober die Versionen 22.23.4, 24.22.1 und 26.12.1 veröffentlicht und zehn Lücken geschlossen. Die schwerste steckt im mitgelieferten Brotli-Decoder: Präparierte komprimierte Daten können über die Grenzen eines Speicherbereichs schreiben und laut Node.js das Ausführen von Code ermöglichen. Der Decoder läuft, wenn eine Anwendung Brotli-Daten über das Modul zlib entpackt, und automatisch, wenn sie mit fetch() eine Brotli-komprimierte Antwort abruft. Node.js 20 und älter bekommt keine Korrektur mehr.
- Priorität: Hoch (Codeausführung möglich)
- Datum: 21.10.2026
- CVE: CVE-2026-111497
- Für wen relevant: Unternehmen mit eigenen Webanwendungen, APIs oder Automatisierungen auf Node.js. Auch viele selbst betriebene Werkzeuge wie n8n laufen darauf. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Auf 22.23.4, 24.22.1 oder 26.12.1 aktualisieren und die Anwendungen neu starten. Bei Docker auf neue Images der eingesetzten Software achten. Wer noch Node.js 20 nutzt, wechselt auf eine unterstützte Reihe.
- Quelle: Node.js · The Hacker News
Windows 11: Microsoft nimmt Korrektur für Always-On-VPN-Problem zurück
Microsoft hatte das Verbindungsproblem von Always On VPN unter Windows 11 24H2 und neuer mit den Oktober-Updates als behoben markiert. Am 20. Oktober hat das Unternehmen das zurückgenommen: Der Status sei am 13. Oktober versehentlich auf „behoben“ gesetzt worden. Der Fehler kam mit den Sicherheitsupdates vom September. Ist automatische Protokollwahl oder ein Ausweichen zwischen IKEv2 und SSTP eingestellt und schlägt der erste Verbindungsversuch fehl, bleibt die VPN-Verbindung bei „Verbindung wird hergestellt“ hängen oder kommt gar nicht zustande. Manchmal erscheint die Meldung, der Port werde bereits verwendet. Eine Korrektur soll in den kommenden Wochen folgen.
- Priorität: Erhöht (Fehler doch nicht behoben)
- Datum: 21.10.2026
- Für wen relevant: Unternehmen, deren Mitarbeiter sich über Always On VPN von Windows ins Firmennetz verbinden. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Bei VPN-Problemen nach den September- oder Oktober-Updates nicht weiter nach anderen Ursachen suchen: Der Fehler ist bekannt und noch offen. Wo möglich ein festes Protokoll statt automatischer Auswahl einstellen.
- Quelle: BleepingComputer · Microsoft
Chrome warnt jetzt vor ClickFix-Tricks, aber nur mit erweitertem Schutz
Google baut in Chrome Warnungen gegen ClickFix ein. Bei dieser Masche zeigen manipulierte Websites eine gefälschte Cloudflare- oder reCAPTCHA-Prüfung und fordern dazu auf, einen Befehl zu kopieren und in das Windows-Ausführen-Fenster oder das Mac-Terminal einzufügen. Damit startet der Nutzer die Schadsoftware selbst. Die neuen Warnungen greifen, wenn in Chrome der erweiterte Schutz (Enhanced Protection) eingeschaltet ist.
- Priorität: Beobachten (neue Schutzfunktion)
- Datum: 21.10.2026
- Für wen relevant: Alle Unternehmen, deren Mitarbeiter Chrome nutzen. (für KMU: niedrig – nur für Betroffene)
- Warum wichtig: Den erweiterten Schutz in Chrome einschalten, in verwalteten Umgebungen per Richtlinie. Und im Team klarstellen: Keine seriöse Website verlangt, Befehle in Windows einzufügen.
- Quelle: The Hacker News · Google
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
